Două vulnerabilități critice identificate recent în limbajul de programare PHP sunt deja utilizate de hackeri pentru a efectua atacuri cibernetice. Agenția americană de securitate CISA a inclus deja aceste breșe pe lista vulnerabilităților exploatate activ, alertând proprietarii de magazine online cu doar o săptămână înainte de perioada Black Friday. Incidentul pune sub semnul întrebării securitatea multor site-uri care folosesc platforme precum WooCommerce, PrestaShop sau OpenCart, tehnologii bazate pe PHP.
Defectele de securitate, identificate sub codurile CVE-2026-109618 și CVE-2026-109619, au o notă de gravitate de 9,2 din 10. Acestea permit, în anumite condiții, rularea de cod pe server fără necesitatea unei parole. Echipa PHP a lansat versiuni reparate, precum 8.5.12, 8.4.27, 8.3.36 și 8.2.35, pentru a remedia problema. Riscul este major pentru serverele care rulează PHP-FPM sau configurații cu Apache și mod_php, deoarece nicio setare suplimentară nu poate înlocui actualizarea software-ului.
Impactul asupra pieței este semnificativ, având în vedere că PHP este utilizat de 69,2% dintre site-urile cu tehnologie identificabilă, conform datelor W3Techs. Firma Palo Alto Networks a estimat că peste 22,6 milioane de instalări PHP accesibile de pe internet ar putea fi vulnerabile. Pentru firmele mici din România, un astfel de atac poate duce la furtul datelor clienților sau la blocarea site-ului în momente critice de vânzări, precum campania de Black Friday a eMAG.
Pentru a gestiona riscul, proprietarii de magazine online trebuie să solicite furnizorilor de hosting o confirmare scrisă a actualizării PHP la versiunile securizate. Este esențial să se verifice dacă procesele PHP au fost repornite pentru ca noul cod să fie activ. De asemenea, se recomandă verificarea jurnalelor de activitate începând cu data de 20 octombrie, ora 18:00, pentru a identifica eventuale semne de compromitere a sistemului sau apariția unor conturi de administrator neautorizate.
În cazul în care datele clienților sunt compromise, legislația GDPR impune notificarea autorității ANSPDCP în termen de 72 de ore. Nerespectarea acestor obligații poate atrage amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri mondială a companiei. Conform Legii 58/2023, responsabilitatea pentru securitatea unui sistem revine persoanei care îl deține, îl administrează sau îl utilizează, indiferent de mărimea afacerii.
Securitatea cibernetică rămâne un factor critic pentru stabilitatea economică, având în vedere costurile enorme ale incidentelor. Un raport al IBM indică faptul că un incident de securitate are un cost mediu global de 4,99 milioane de dolari. Pentru afacerile mici, pierderile se manifestă prin zile fără vânzări, costuri de refacere a site-ului, cheltuieli juridice și pierderea încrederii clienților care nu vor mai reveni la magazinul respectiv.